La autoridad de certificación DigiCert ha confirmado una brecha de datos después de que una migración de servidores realizada en febrero de 2025 dejara expuesto a internet un sistema empresarial interno que anteriormente solo era accesible a través de VPN. Este fallo permitió el acceso no autorizado a información de clientes y documentos de identidad.
Según la empresa, el incidente afectó a una pequeña parte de su archivo de datos de clientes, que incluía nombres, direcciones de correo electrónico corporativas, números de teléfono y direcciones de empresa. En algunos casos, los registros expuestos contenían además documentos de identificación personal, como permisos de conducir, pasaportes y facturas de servicios.
DigiCert ha comenzado a enviar notificaciones a los clientes afectados. El arquitecto de nube Fabian Bader compartió una copia de la notificación en la red social X, donde ironizó sobre el alcance limitado de la filtración.
Gracias @digicert porque tu filtración de datos se 'limitó' solo a todos mis datos personales y potencialmente a cualquier documento de verificación que envié para mi certificado.
En la notificación, la compañía indica que sigue revisando los documentos de identificación para determinar quiénes se vieron afectados y que avisará a esas personas cuando concluya la revisión.
La información afectada se limitaba a nombres, direcciones de correo electrónico corporativas, números de teléfono y direcciones de empresa compartidas con DigiCert y, en caso de haberse proporcionado, puede haber incluido un documento de identificación como un permiso de conducir, un pasaporte, una factura de servicios u otro documento con nombre y dirección.
Un informe del incidente publicado en la plataforma Bugzilla de Mozilla detalla que la migración de servidores de febrero de 2025 expuso de forma accidental a internet un sistema empresarial interno. El sistema contaba con una función de autorregistro pensada para otras aplicaciones que permitía a usuarios externos crear cuentas. Aunque esas cuentas no estaban asignadas a ninguna aplicación concreta, un fallo de autorización les permitía acceder en modo de solo lectura a la información archivada de clientes.
DigiCert detectó por primera vez cuentas no autorizadas en el sistema expuesto en junio de 2026, pero en un principio concluyó que no podían acceder a datos de clientes porque no estaban vinculadas a ninguna aplicación. Posteriormente recibió un aviso a través de su programa de investigación de seguridad gestionada que advertía de que usuarios externos podían crear cuentas en el sistema.
La empresa aplicó correcciones para restringir el acceso al sistema y subsanar el fallo de autorización, pero no se percató entonces de que se habían consultado datos archivados. No fue hasta el 19 de octubre cuando una investigación más profunda confirmó que una cuenta no autorizada había accedido a información de clientes entre el 27 de junio y el 2 de julio de 2026.
El incidente se gestionó inicialmente como un problema de creación de cuentas y no como un evento de acceso a datos.
DigiCert asegura que la cuenta no autorizada tenía acceso de solo lectura y no podía modificar registros, aprobar validaciones de certificados ni emitir certificados. La compañía ha restringido ahora el acceso al sistema afectado, ha desactivado el autorregistro y ha añadido controles de acceso adicionales.
La empresa sostiene que sus servicios de autoridad de certificación, CertCentral y las plataformas DigiCert ONE no se vieron comprometidos, y que las credenciales de acceso de los clientes y los certificados emitidos siguen siendo seguros. BleepingComputer ha contactado con DigiCert para obtener más detalles sobre el incidente, incluido el número de personas afectadas, y actualizará la información si recibe respuesta.
- Revolut revela una brecha de datos que expone información financiera y pasaportes
- 220 millones de registros de viajeros expuestos en una filtración vinculada a Vietnam
- DreamHost confirma una brecha de datos que expuso inicios de sesión FTP y sesiones de webmail
- El hackeo del gestor de contraseñas mSecure provoca avisos de restablecimiento de contraseñas
- WorkOS afirma que un atacante utilizó la IA ARTEX para penetrar en una aplicación interna de ventas
Deja una respuesta